SiteKey

SiteKey är ett webbaserat säkerhetssystem som tillhandahåller en typ av ömsesidig autentisering mellan slutanvändare och webbplatser. Dess primära syfte är att avskräcka nätfiske .

SiteKey distribuerades av flera stora finansiella institutioner 2006, inklusive Bank of America och The Vanguard Group . Både Bank of America och The Vanguard Group slutade använda 2015.

Produkten ägs av RSA Data Security som 2006 förvärvade sin ursprungliga tillverkare, Passmark Security.

Hur det fungerar

SiteKey använder följande utmaning-svar- teknik:

1. Användaren identifierar ( inte autentiserar) sig själv till webbplatsen genom att ange sitt användarnamn (men inte sitt lösenord). Om användarnamnet är ett giltigt, fortsätter sidan.
2. Om användarens webbläsare inte innehåller ett tillståndstoken på klientsidan (som en webbcookie eller en Flash-cookie ) från ett tidigare besök, uppmanas användaren att svara på en eller flera av de " säkerhetsfrågor" som användaren angav på tid för webbplatsregistrering, till exempel "Vilken skola gick du senast i?"
3. Webbplatsen autentiserar sig för användaren genom att visa en bild och/eller tillhörande fras som de har konfigurerat tidigare. Om användaren inte känner igen dessa som sina egna, ska de anta att webbplatsen är en nätfiskesida och omedelbart överge den. Om användaren känner igen dem kan de betrakta webbplatsen som autentisk och fortsätta.
4. Användaren autentiserar sig till webbplatsen genom att ange sitt lösenord. Om lösenordet inte är giltigt för det användarnamnet, börjar hela processen igen. Om det är giltigt anses användaren vara autentiserad och inloggad.

Om användaren befinner sig på en nätfiskesida med en annan webbplatsdomän än den legitima domänen, kommer användarens webbläsare att vägra skicka tillståndstoken i steg (2); ägaren av nätfiskewebbplatsen måste antingen hoppa över att visa den korrekta säkerhetsbilden eller be användaren om säkerhetsfrågorna som erhållits från den legitima domänen och skicka svaren vidare. I teorin kan detta få användaren att bli misstänksam, eftersom användaren kan bli förvånad över att bli ombedd om säkerhetsfrågor även om de nyligen har använt den legitima domänen från sin webbläsare. Men i praktiken finns det bevis för att användare i allmänhet inte märker sådana anomalier.

Svagheter

En Harvard-studie fann SiteKey 97 % ineffektiv. I praktiken märker verkliga människor inte, eller bryr sig inte, när SiteKey saknas, enligt deras resultat.

Det kräver också att användarna håller reda på mer autentiseringsinformation. Någon som är associerad med N olika webbplatser som använder SiteKey måste komma ihåg N olika 4- tupler av information: (webbplats, användarnamn, fras, lösenord) .

Avbrytande

I maj 2015 meddelade Bank of America att SiteKey skulle upphöra för alla användare i slutet av året och skulle tillåta användare att logga in med sitt användarnamn och lösenord i ett steg. I juli 2015 upphörde Vanguard också att använda SiteKey för sin webbplats.

externa länkar

• Autentisering i en onlinebankmiljö
• SiteKey på Bank of America
• Fraud Vulnerabilities i SiteKey Security hos Bank of America